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Prufungsantrag gem. § 44 PatG ist gestelit 

@ Verfahren zur Erhohung der Sicherheit in hierarchisch strukturierten Automatisierungssystemen 

© Die Erfindung betrifft ein Verfahren zur Erhohung der 
Sicherheit in hierarchisch strukturierten und konfigurierba- 
ren Automatisierungssystemen zur Steuerung und Regelung 
technischer Prozesse in der Automatisierungstechnik mit 
mindestens einer zentralen Verarbeitungseinrichtung (40) 
und einer Mehrzahl an diese angeschtossene Eingabe-/Aus- 
gabeeinrichtungen (60/1 bis 60/3) Oder einer angeschlosse- 
nen Eingabe-/Ausgabeeinrichtung (60/2) mit einer Mehrzahl 
Eingabe- und/oder Ausgabeschnittstellen (64, 65). Um zu 
verhindern, daB Bedienfehler, Fehler durch Betnebseinflusse 
Konfigurier- und Parametrierfehier in komplexen Automati- 
sierungssystem auf den zu automatisierenden ProzeS durch- 
greifen, wird vorgeschlagen, mit einer zentralen Verarbei- 
tungseinrichtung (40) prozeSglobale Steuerungssequenzen 
in Abhangigkeit von prozessualen MeRwerten und vorkonfi- 
gurierbaren FuhrungsgroBen zu erzeugen und Stellwerte 
auszugeben. Daruber hinaus werden in den Controllem (61/1 
bis 61/3) der angeschlossenen Eingabe-/Ausgabeeinrichtun- 
gen (60/l bis 60/3) jeweils lokale Grenzwerte und unzulassi- 
ge Stellwertkombinationen statisch hinterlegt, eingehende 
Stellwerte mit den lokalen Grenzwerten und unzulassigen 
Stellwertkombinationen verglichen und unzulassige Stell- 
werte gegen zulassige Ersatzstellwerte ausgetauscht. 
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Beschreibung 

Die Erfindung betrifft ein Verfahren zur Erhohung 
der Sicherheit in hierarchisch strukturierten und konfi- 
gurierbaren Automatisierungssystemen zur Steuerung 
und Regelung technischer Prozesse in der Automatisie- 
rungstechnik mit mindestens einer zentralen Verarbei- 
tungseinrichtung und einer Mehrzahl an dieser ange- 
schlossener Eingabe-/Ausgabeeinrichtungen oder einer 
angeschlossenen Eingabe-/Ausgabe-Einrichtung mit ei- 
ner Mehrzahl Eingabe- und/oder Ausgabeschnittsteilen. 

Fur die Auslegung von automatisierungstechnischen 
Anlagen unter sicherheitstechnischem Aspekt ist es all- 
gemein bekannt, zwei oder mehr identische Systeme 
oder Subsysteme parallel zueinander zu konfigurieren 
und zu betreiben. Bei Ausfall eines Systems oder Subsy- 
stems tritt eines der parallel angeordneten Redundan- 
ten-Systeme oder Subsysteme an dessen Stelle, ohne 
daD der technische ProzeB unterbrochen werden rnuB. 
Jedes Steuerungssubsystem ist dabei gemaB "Automati- 
sierungstechnik a , Band 1, insbesondere Seite 162, R. Ol- 
denbourgverlag Munchen Wien 1992, sowohl fur die 
Signalaufbereitung und die Regelung als auch fur die 
Oberwachung ausgelegt. Derartig redundante Ausge- 
staltungen dienen der Erhdhung der Verfugbarkeit des 
Automatisierungssystems. Da die redundanten Kompo- 
nenten physisch mehrfach in identischer Ausfuhrung 
vorhanden sind und wahrend der ausfallfreien Betriebs- 
zeit nicht zur Ldsung der automatisierungstechnischen 
Aufgabe beitragen, werden die damit verbundenen 
technischen Mehraufwendungen trotz des sicnerheits- 
relevanten Erfordernisses als nachteilig angesehen. 

Es ist weiterhin bekannt und in den Normen DIN V 
0801 und DIN V 19250 manifestiert, daB eine Erhohung 
der Sicherheit eines Automatisierungssystems durch ei- 
ne Mehrzahl physisch und logisch unterschiedlicher 
Steuerungssubsysteme zu realisieren* die sich, bezogen 
auf denselben technischen ProzeB oder einen Teil da- 
von, erganzen oder ttberwacheit Die Oberwachung 
kann dabei einseitig oder gegenseitig erfolgen. Da, be- 
zogen auf eine beliebige ProzeBvariable, jedes speziell 
ausgepragte Subsystem ausschlieBlich singular vorliegt, 
wird diese Struktur als diversitare Teilredundanz be- 
zeichnet. Physisch liegen dabei weiterhin mindestens 
zwei separate Subsysteme vor. 

Mit zunehmender Komplexitat automatisierungs- 
technischer Einrichtungen und aufgrund wachsender 
Datentransferraten sind periphere Einrichtungen, insbe- 
sondere Eingabe-/Ausgabeeinrichtungen in zunehmen- 
dem MaBe mit signalverarbeitenden Mitteln, sogenann- 
ten Controllers ausgestattet Diese Controller dienen 
dem zeitgeteilten Zugriff auf gemultiplexte Datenkana- 
le zum Empfang und Senden von Daten und Steuerin- 
formationen der jeweils zugeordneten Einrichtung und 
der Ansteuerung der zugehorigen Datenein- und Da- 
tenausgabeschnittstellen. 

Der Erfindung liegt daher die Aufgabe zugrunde, die 
Sicherheit in einem hierarchisch strukturierten konfigu- 
rierbaren Automatisierungssystem der eingangs be- 
schriebenen Art zu erhohen, ohne dabei den rnateriellen 
Aufwand zu erhohen. Insbesondere soil verhindert wer- 
den, daB Bedienfehler, Fehler durch Betriebseinflusse, 
IConfigurier- und Parametrierfehler in komplexen Auto- 
matisierungssystemen auf den zu automatisierenden 
ProzeB durchgreifen. 

Diese Aufgabe wird erfindungsgemaB mit den Mit- 
tein des Patentanspruchs 1 gelost Weiterfiihrende vor- 
teilhafte Ausgestaltungen der Erfindung sind in den Pa- 
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tentanspriichen 2 bis 6 beschrieben. 

Die Erfindung wird nachstehend anhand von Ausfuh- 
rungsbeispielen naher erlautert Die dazu erforderlichen 
Zeichnungen zeigen: 

Fig. 1 eine Darstellung einer hierarchischen System- 
architektur eines Automatisierungssystems, 

Fig. 2 eine Darstellung der zeitlichen Controllerakti- 
vitat zum Datentransfer bei einem Datenkanal, 

Fig. 3 eine Darstellung der zeitlichen Controllerakti- 
vitat bei mehreren Datenkanalen. 

In Fig. 1 ist ein hierarchisch strukturiertes Automati- 
sierungssystem dargestellt, das mindestens eine zentrale 
Verarbeitungseinheit 40 aufweist, die iiber einen Sy- 
stembus 20 an in einem Wartenbereich 10 angeordnete 
Bedieneinrichtungen 11, Beobachtungseinrichtungen 12 
und IConfiguriereinrichtungen 13 angeschlossen sind. 
Die zentrale Verarbeitungseinrichtung 40 ist Goer min- 
destens einen Datenkanal 50/t mit einer Mehrzahl Ein- 
gabe-/ Ausgabeeinrichtungen 60/1 bis 60/3 verbunden, 
die zur Koordinierung des Datenaustauschs mit der 
zentralen Verarbertungseinrichtung 40 jeweils einen 
Controller 61/1 bis 61/3 aufweisen. Jede Eingabe-/Aus- 
gabeeinrichtung 60/1 bis 60/3 ist jeweils als austausch- 
bare physische Einheit ausgefuhrt Jede physische Ein- 
gabe-/Ausgabeeinrichtung 60/1 bis 60/3 kann logisch 
als reine Dateneingabeeinrichtung, als reine Datenaus- 
gabeeinrichtung oder als gemischte Dateneingabe- und 
Datenausgabeeinrichtung ausgefuhrt sein. In Fig. 1 ist 
die Eingabe-ZAusgabeeinrichtung 60/1 als reine Daten- 
eingabeeinrichtung 62/1 dargestellt und ausschlieBlich 

in Fig. 1 die EingabeVAusgabeeinrichtung 60/3 als rei- 
ne Datenausgabeeinrichtung 63/3 dargestellt, die aus- 
schlieBlich mit Ausgabeschnittsteilen 65 ausgestattet ist 
Die Eingabe-/ Ausgabeeinrichtung 60/2 weist eine Da- 
teneingabeeinrichtung 52/2 und eine Datenausgabeein- . 
richtung 63/2 auf. Der Dateneingabeeinrichtung 62/2 
sind Eingabeschnittstellen 64 zugeordnet, und der Da- 
tenausgabeeinrichtung 63/2 sind Ausgabeschnittsteilen 
65 zugeordnet 

Weiterhin sind in Fig. 1 MeBwertgeber 90 und 91 und 
Stellglieder 92 und 93 dargestellt, die an einen ProzeB 
100 adaptiert sind. Der MeBwertgeber 90 ist mit einer 
der Eingabeschnittstellen 64 der Dateneingabeeinrich- 
tung 62/1 und der MeBwertgeber 91 ist mit einer der 
Eingabeschnittstellen 64 der Dateneingabeeinrichtung 
62/2 verbunden. An eine der Ausgabeschnittsteilen 65 
der Datenausgabeeinrichtung 63/2 ist das Stellglied 92, 
und an eine der Ausgabeschnittsteilen 65 der Datenaus- 
gabeeinrichtung 63/3 ist das Stellglied 93 angeschlossen. 

In Fig. 2 ist der zeitiiche Ablauf des Zugriffs der zen- 
tralen Verarbeitungseinrichtung40 auf dem Datenkanal 
50/1 anhand zyklisch wechselnden Zugriffs auf die Ein- 
gabe-/ Ausgabeeinrichtungen 60/1 bis 60/3, die repra- 
sentiert sind durch ihre Controller 61/1 bis 61/3, darge- 
stellt. Wahrend der mit Tl bezeichneten Perioden ist ein 
Datenaustausch zwischen der zentralen Verarbeitungs- 
einrichtung 40 und dem Controller 61/1 der Eingabe- 
/Ausgabeeinrichtung 60/1 vorgesehen. Wahrend der 
Zeitphasen T2 und T3 erfolgt der Datenaustausch zwi- 
schen der zentralen Verarbeitungseinrichtung 40 und 
den Controllern 61/2 und 61/3 der EingabeVAusgabe- 
einrichtung 60/2 und 60/3. Durch den wechselweisen 
Zugriff ist der Controller 61/1 wahrend der Zeitphasen 
T2 und T3, der Controller 61/2 wahrend der Zeitphasen 
T3 und Tl und der Controller 61/3 wahrend der Zeit- 
" phasenTl undT2 vom Datentransfer freigestellt. 

Prozessuale MeBwerte werden an den MeBwertge- 
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bern 90 und 91 aufgenommen, uber die Eingabeschnttt- 
stelten 64 der Dateneingabeeinrichtungen 62/1 und 
62/2 eingeiesen und wahrend zugeordneter Zeitphasen 
Tl bzw.T2 an die zentrale Verarbeitungseinnchtung 40 
ubertragen. In Abhangigkeit von den prozessualen 5 
MeBwerten und vorkonfigurierbaren FuhrungsgroBen 
werden mit der zentralen Verarbeitungseinnchtung 40 
prozeBglobale Steuerungssequenzen erzeugt und wah- 
rend zugeordneter Zeitphasen T2 bzw.T3 an die Daten- 
ausgabeeinrichtungen 63/2 und 63/3 ubertragen. Die , 0 
Stellwerte werden uber die Ausgabeschnittstellen 65 an 
die Stellglieder 92 und 93 ausgegeben. 

In den ControIIern 61/2 und 61/3 der Datenausgabe- 
einrichtungen 63/2 und 63/3 sind jeweils lokale Grenz- 
werte und unzulassige Stellwertkombinationen statisch 15 
hinterlegbar. Wahrend controlierindividuellen Penoden 
ruhenden Datenverkehrs, fur den Controller 61/2 sind 
das die Perioden T3 und Tl, werden die eingehenden 
Stellwerte mit den lokalen Grenzwerten und unzulassi- 
gen Stellwertkombinationen verglichen und unzulassige 20 
'Stellwerte gegen zulassige Ersatzstellwerte ausge- 
tauscht Dabei ist sowohl vorgesehen, daO als Ersatz- 
stellwerte die letzten zulassigen Stellwerte gehalten 
werden, als auch daB bei der Systeminitialisierung Er- 
satzstellwerte vorgegeben werden. Daruber hinaus ist 25 
vorgesehen, Ersatzstellwerte aus eingehenden Meflwer- 
ten zu berechnen. . . 

Fur Eingabe-/Ausgabeeinrichtungen 60/2, die mit ei- 
ner Dateneingabeeinrichtung 62/2 und einer Datenaus- 
gabeeinrichtung 63/2 ausgestatte t sind, ist daruber hin- 30 
aus vorgesehen, die vorgegeoenen lokalen Gjci^wu 
und unzulassige Stellwertkombinationen mit eingehen- 
den MeBwerten zu korrelieren, urn so unzulassige Stell- 
wertkombinationen und lokale Grenzwerte dynamisch 
auszuwahlen oder dynamisch zu bilden und eingehende 35 
Stellwerte mit den entstandenen dynamischen Grenz- 
werten und unzulassigen Stellwertkombinationen zu 
vergleichen. Stellwertkombinationen umfassen dabei 
die Kornbination von Binarwerten bzw. von Zustanden, 
die an binaren Ausgabe- oder Eingabeschnittstellen 64 ( 40 
65 anliegen. Grenzwerte beziehen sich auf analoge Gro- 
Ben und ihre Darstelliing. 

Daruber hinaus kann em Automatisierungssystem ge- 
maB Fig. 1 mit einer Mehrzahi von Datenkanalen 50/1 
und 50/2 die zu einer Gruppe. 50 zusammengefaBt sind, 45 
ausgestattet sein. Die Datenkanale 50/1 und 50/2 der 
Gruppe 50 sind jeweils an die zentrale Verarbettungs- 
einheit 40 angeschlossen. An den Datenkanal 50/2 stnd 
weitere in Fig. 1 nicht dargestellte Eingabe-/Ausgabe- 
einrichtungen angeschlossen. Die Datenkanale 50/ 1 und 50 
50/2 der Gruppe 50 werden gemaS Fig. 3 wechselweise 
zum Datenaustausch zwischen der zentralen Verarbei- 
tungseinnchtung 40 und angeschlossenen Eingabe- 
/Ausgabeeinrichtungen beaufschlagt. Wahrend der 
Zeitphasen Tl, T3 und T5 erfolgt dabei in Analogie zur 55 
Darstellung in Fig. 2 der Datenaustausch zwischen der 
zentralen Verarbeitungseinnchtung 40 und den an den 
Datenkanal 50/1 angeschlossenen Eingabe-/Ausgabe- 
einrichtungen 60/1 bis 60/3. Durch den wechselweisen 
Datentransfer unter Einbeziehung der zentralen Verar- eo 
beitungseinheit 40 uber die Datenkanale 50/1 und 50/2 
ist wahrend der Zeitphasen T2, T4 und T6 der Datenka- 
nal 50/1 zunachst datenfrei. Wahrend dieser Zeitphasen 
kann vorgesehen sein, daB Eingabe-ZAusgabeeinnch- 
tungen 60/1 bis 60/3 paarweise untereinander uber den 6 5 
Datenkanal 50/ 1 Enformationen austauschen. 

Dadurch ist es mogiich, mit den ControIIern 61/2 und 
61/3 der Eingabe-/ Ausgabeeinrichtungen 60/2 und 



60/3, die Datenausgabeeinrichtungen 63/2 und 63/3 
aufweisen, von der zentralen Verarbeitungseinnchtung 
40 eingehende Stellwerte mit dynamischen ausgewahl- 
ten oder erzeugten Grenzwerten und unzulassigen 
Stellwertkombinationen zu vergleichen, die durch Kor- 
relation von vorgegebenen lokalen Grenzwerten und 
unzulassigen Stellwertkombinationen und eingehenden 
Stellwerten und Grenzwerten physisch getrennter Ein- 
gabe-/Ausgabeeinrichtungen 60/1 und 60/2 vorgege- 
ben werden. 

In einfachster Auspragung wird dazu fur erne reme 
Datenausgabeeinrichtung 63/3 ohne Datenaustausch 
mit anderen Eingabe-/ Ausgabeeinrichtungen 60/1 und 
60/2 die Wahrheitstabelle, die alle moglichen Ausgabe - 
zustande dieser Datenausgabeeinrichtung 63/3 umfaBt, 
urn eine Kennzeichnung der unzulassigen Zustande er- 
weitert und irn Controller 61/3 hinterlegt 

Soweit Datenaustausch zwischen den Eingabe-Aus- 
gabeeinrichtungen 60/1 bis 60/3 vorgesehen ist, umfaBt 
die Wahrheitstabelle daruber hinaus Ausgangszustande 
physisch benachbarter Datenausgabeeinrichtungen und 
durch MeBwerte injizierte Eingangszustande physisch 
benachbarter Dateneingabeeinrichtungen. Dabei wer- 
den daruber hinaus unzulassige dynamische Kombina- 
tionen von Eingangszustanden und Ausgangszustanden 
gekennzeichnet und in den ControIIern 61/2 und 61/3 
der zugeordneten Datenausgabeeinrichtungen 63/2 und 
63/3 hinterlegt. Physisch benachbarte Datenausgabe- 
einrichtungen 63/2 und 63/3 sind dabei soiche, die an 
denselben Datenkanal 50/1 oder 50/2 angeschlossen 
sind oder D at c n unt e r Umg e h un g d er zentralen Verar- 



beitungseinheit 40 austauschen konnen. 

In weiterer Ausgestaltung der Erfindung werden den 
lokalen Grenzwerten und den zulassigen Stellwerten 
bzw. Stellwertkombinationen Kennungen zugeordnet.. 
Fur die [Correlation iokaler Grenzwerte und unzulasst- 
ger Stellwertkombinationen mit denen physisch be- 
nachbarter Datenausgabeeinrichtung 63/2 und 63/3 ge- 
nugt es, dazu die Kennungen auszutauschen. Auf diese 
Weise laBt sich die Belegungszeit des angeschlossenen 
Datenkanals 50/1 oder 50/2 reduzieren. 

In besonderer Ausgestaltung der Erfindung werden 
ausschlieBlich mit Kennungen versehene lokale Grenz- 
werte und unzulassige Stellwertkombinationen im je- 
weiligen Controller 61/1 bis 61/3 hinterlegt. Vorteilhaf- 
terweise ist dabei der erforderliche Speicherplatz auf 
ein Minimum reduzierbar. 

In vorteilhafter Weise ist die logische Uberwachung 
der Stellwerte auf Oberschreitung von lokalen Grenz- 
werten und unzulassigen Stellwertkombinationen lo- 
gisch von der zentralen Verarbeitungseinheit 40 ge- 
trehnt, so daB trotz Singularity sowohl der zentralen 
Verarbeitungseinheit 40 als auch aller angeschlossener 
Eingabe-/ Ausgabeeinrichtungen 60/1 bis 60/3 bei Aus- 
fall der zentralen Verarbeitungseinheit 40 der ProzeB 
100 in einen gefahrlosen Zustand gesteuert wird, ohne 
dabei weiteren materiellen Aufwand vorsehen zu mus- 
sen. Weiterhin ist aufgrund der geringen Funktionalitat 
der verfahrenstechnischen MaBnahmen in den ControI- 
Iern 61/1 bis 61/3 die Storanfalligkeit des jeweiligen 
tjberwachungssystems sehr gering. Daruber hinaus las- 
sen sich Handhabungsfehler in der Bedienung des Pro- 
zesses sowie Konfigurier- und Parametrierfehler auf 
den angeschlossenen ProzeB vermeiden. 

Bezugszeichenliste 

10 Wartenbereich 
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1 1 Bedieneinrichtung 

12 Beobachtungseinrichtung 

13 Konfiguriereinrichtung 
20 Systembus 

40 zentrale Verarbeitungseinrichtung 
50 Gruppe 

50/1,50/2 Datenkanal 
60/ 1 —60/3 Eingabe-Ausgabeeinrichtungen 
61/1-61/3 Controller 
62/1, 62/2 Dateneingabeeinrichtung 
63/2,63/3 Datenausgabeeinrichtung 
. 64 Eingabeschnittstellen 
65 Ausgabeschnittstellen 
90,91 MeBwertgeber 
92,93Stellglieder 
100Pro2eB. 
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wertkombinationen korreliert werden. 
8. Verfahren nach einem der Ansprtiche I bis 7, 
dadurch gekennzeichnet,. daB die aktuellen Grenz- 
werte und unzulassigen Stellwertkombinationen 
aus der Menge der MeBwerte, der Stellwerte und 
der vorgegebenen Grenzwerte dynamisch berech- 
net werden. 



Hierzu 2 Seite(n) Zeichnungen 



Patentanspruche 

1 . Verfahren zur Erhohung der Sicherheit in hierar 
chisch strukturierten Automatisierungssystemen 
zur Steuerung und Regelung technischer Prozesse 
mit mindestens einer zentralen Verarbeitungsein 
richtung und einer Mehrzahl an dieser angeschlos 
sener EingabeVAusgabeschnittstellen, wobei die 
EingabeVAusgabeschnittstellen einzeln oder grup 
penweise mit von der zentralen Verarbeitungsein 
richtung unabhangigeri Controllern ausgestattet 
sirid, dadurch gekennzeichnet, 

— daB mit der zentralen Verarbeitungsein 
richtung (40) prozeBglobale Steuerungsse- 
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quenzen in Abhangigkeit von prozessualen 
MeBwerten und vorkonfigurierbaren Fuh- 
rungsgrdBen erzeugt und Stellwerte ausgege 
ben werden, 

— daB in den Controllern (61/1 bis 61/3) je- 
weils lokale Grenzwerte und unzulassige Stell- 
wertkombinationen statisch hinterlegt werden 
eingehende Stellwerte mit den lokaien Grenz 
werten und unzulassigen Stellwertkombinatio 
nen verglichen werden und unzulassige Stell 
werte gegen zulassige Ersatzstellwerte ausge- 
tauscht werden. 

2. Verfahren nach Anspruch l f dadurch gekenn- 
zeichnet, dafl als Ersatzstellwerte die letzten zulas- 
sigen Stellwerte gehalten werden. 

3. Verfahren nach Anspruch 1, dadurch gekenn- 
zeichnet daB bei der Systeminitialisierung Ersatz- 
stellwerte vorgegeben werden. 

4. Verfahren nach Anspruch 1, dadurch gekenn- 
zeichnet, daB die Ersatzstellwerte aus eingehenden 
MeBwerten berechnet werden. 

5. Verfahren nach einem der AnsprQche 1 bis 4, 
dadurch gekennzeichnet, daB die lokaien Grenz- 
werte und unzulassigen Stellwertkombinationen 
durch {Correlation mit eingehenden MeBwerten dy- 
namisch f estgelegt werden. . 

6. Verfahren nach einem der AnsprQche 1 bis 5, 
dadurch gekennzeichnet, daB die Stellwerte mehre- 
rer physisch separater Datenausgabeeinrichtungen 
(63/2 und 63/3) zur Festlegung der Grenzwerte 
und der Unzulassigkeit von Stellwertkombinatio- 
nen miteinander korreliert werden. 

7. Verfahren nach einem der Anspruche 1 bis 6, 
dadurch gekennzeichnet, daB die Stellwerte mit 
MeBwerten mehrerer physisch separater Datenein- 
gabeeinrichtungen (62/1 und 62/2) zur Festlegung 
der Grenzwerte und der Unzulassigkeit von Stell- 
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A central processor (40) is connected by a system bus (20) to operating, monitoring and configuration 
devices (11-13) in an administrative area (10), and by data channels (50) to a number of input/output 
devices (60/1-60/3) with controllers (61) for coordination of data exchange. Overall process control 
sequences are produced in accordance with measured values and pre-configurable control quantities. 
Local limits and forbidden combinations of settings are statically stored in the controllers for comparison 
with inrnming_settings--Ailnwa|^|(a settings are substituted f n r any whrh are excluded by the comparison 
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